Skydda Sophos Fusion-inloggning med MFA, passkeys och IdP

Sophos Fusion (tidigare Sophos Central) styr Policies, undantag, Live Response och enhetsisolering. Ett komprometterat administratörskonto kan därför orsaka större skada än en enskild infekterad Endpoint. MFA är minimikravet, men ersätter varken lämpliga roller eller en återställningsprocess.

Skilj mellan Partner-, Customer- och Enterprise-åtkomst

För Sophos Fusion Partner gäller uttryckligen att varje Partner-administratör måste registrera minst två MFA-metoder och autentisera sig med MFA vid varje inloggning. Passkeys och TOTP-Authenticator-appar stöds; en av de registrerade metoderna kan användas för att logga in. Vid den första registreringen konfigureras ett lösenord och minst en TOTP-app; passkeys kan läggas till efteråt. När Sophos uppmanar till registrering av två metoder ska registreringen slutföras. Följande avsnitt förklarar hur TOTP och passkeys konfigureras och hur oberoende enheter väljs.

Ett Partner-konto och en hanterad Customer-tenant tillhör dock inte samma administrationsområde. Partner-kravet innebär inte att MFA-, SSO- eller återställningsinställningar automatiskt ärvs av Customer- eller Enterprise-konton. Före en ändring kontrolleras vilken portal inloggningen gäller och vilket konto den berörda identiteten tillhör. Vid en MFA-återställning avgör detta område vilken administratör som är behörig och vilken procedur som är rätt: Super Admin i Customer-tenanten eller Partner Super Admin i Partner-portalen. Customer- och Partner-procedurerna nedan ersätter inte en separat verifierad Enterprise-återställningsprocedur.

Konfigurera MFA omedelbart och redundant

Varje administratör måste registrera minst två MFA-metoder och uppmanas att använda MFA vid varje inloggning. Sophos stöder passkeys samt Authenticator-appar med tidsbaserade engångskoder, TOTP.

För privilegierade konton registreras två oberoende metoder, exempelvis en passkey på en hårdvarunyckel och en Authenticator-app på en separat enhet. Två passkeys på samma bärbara dator ger ingen verklig redundans. Sophos anger även två passkeys på separata enheter eller två separata Authenticator-registreringar som möjliga kombinationer.

Reservnycklar och dokumenterad återställningsinformation ska förvaras i ett skyddat företagsvalv. De ska inte sparas i en enskild medarbetares personliga lösenordshanterare eller i ett öppet ärende.

Högst tio TOTP Authenticator-appar kan registreras per administratörskonto. Ett webbläsarbaserat Authenticator-tillägg är tekniskt möjligt, men kommer från en tredjepartsleverantör och utvecklas eller stöds inte av Sophos. Före installation kontrolleras utgivare, behörigheter, uppdateringsmetod och företagets policy. För privilegierade konton ger ett tillägg i samma webbläsarprofil som Sophos Fusion-sessionen ingen bra separation av faktorerna.

De registrerade metoderna hanteras i profilen under Manage login settings respektive Manage MFA. Att bara ta bort en post i den lokala Authenticator-appen tar inte bort metoden från Sophos Fusion. Vid enhetsbyte testas därför först en andra metod, därefter tas den gamla Sophos Fusion-registreringen bort och först till sist återställs den gamla enheten.

Konfigurera en Authenticator-app

Efter inloggning med den befintliga metoden öppnas Profilikonen > My info > Manage MFA. Alternativt leder Sophos ID > My Profile > Manage MFA till samma hantering. Efter en ny autentisering väljs plustecknet på Multi-Factor Authentication, alternativet Authentication App under Set up MFA method och därefter Set up now.

QR-koden för engångsregistrering skannas med den godkända Authenticator-appen. Därefter anges säkerhetskoden som genereras där i Sophos Fusion, ett unikt enhetsnamn kan anges och Continue väljs. Successful enrollment bekräftar registreringen. Ytterligare ett klick på Continue slutför processen. Vid nästa testinloggning följs e-postadress och lösenord av appens aktuella verifieringskod.

Högst tio Authenticator-appar kan registreras per konto. QR-koden och den underliggande TOTP-hemligheten ska inte sparas som skärmbild. Efter testet konfigureras en andra oberoende metod innan en gammal enhet eller registrering tas bort.

Konfigurera en webbläsarbaserad Authenticator-app

Ett webbläsartillägg kan generera TOTP-koder, men bör endast användas för privilegierade konton efter en medveten riskbedömning. Den fullständiga processen är följande:

1. Öppna Profilikonen > My info > Manage MFA i Sophos Fusion och använd en befintlig metod för att bekräfta.
2. Välj plustecknet under Multi-factor Authentication, markera Authentication App och öppna Set up now.
3. Låt QR-koden för engångsregistrering vara öppen. Installera det godkända tillägget i en separat flik från webbläsarens officiella Extension Store.
4. Gå tillbaka till QR-kodssidan, öppna tillägget bredvid adressfältet och välj Add Account > Scan QR from screen där.
5. Ange den genererade engångskoden under Verify Your Device > Security Code, ange eventuellt ett unikt enhetsnamn och välj Continue.
6. Kontrollera under Profilikonen > My info > Manage MFA att den nya metoden är registrerad. Vid en testinloggning måste användarnamn och lösenord samt koden från tillägget fungera.

QR-koden är en engångshemlighet för registrering och får varken sparas som skärmbild eller skickas i ett ärende. Tilläggets utgivare, begärda webbläsarbehörigheter, uppdateringskälla och datasynkronisering kontrolleras före godkännande. Eftersom webbläsarprofil, Sophos Fusion-session och TOTP-hemlighet annars finns på samma plats krävs fortfarande en separat metod på en annan enhet eller hårdvarunyckel.

Hantera registrerade MFA-metoder

Hanteringssidan öppnas via Profilikonen > My info > Manage MFA eller alternativt via Sophos ID > My Profile > Manage MFA. Efter en ny autentisering visar Sophos Fusion alla registrerade metoder, deras standard- eller visningsnamn samt senaste användning.

Med plustecknet läggs ytterligare en Authenticator-app eller passkey till. Högst tio registreringar per metodtyp är möjliga. Via trepunktsmenyn för en metod kan Rename väljas, ett nytt namn anges och bekräftas med bockmarkeringen. Delete tar bort registreringen från Sophos Fusion.

Minst två MFA-metoder måste förbli registrerade. När endast det föreskrivna minimiantalet återstår tillåter Sophos Fusion inte att ytterligare en metod tas bort. Continue avslutar hanteringen och går tillbaka till Sophos Fusion-dashboarden. Innan en gammal metod tas bort testas den nya metoden i en separat inloggning.

Konfigurera en passkey och välja lagringsplats

En passkey läggs till som ytterligare metod först efter att en Authenticator-app redan har konfigurerats. Under Profilikonen > My info > Manage MFA väljs efter den nya autentiseringen plustecknet och därefter Passkey. Operativsystemet eller Credential Manager vägleder genom kontroll med PIN-kod eller biometri. I Windows kan det exempelvis vara ett fingeravtryck via Windows Hello. Efter Passkey Saved bekräftas med OK, den nya registreringen kontrolleras i metodlistan och processen slutförs med Continue.

Lagringsplatsen är en del av säkerhetsbeslutet. Möjliga alternativ är en Credential Manager på den lokala datorn, exempelvis webbläsaren, operativsystemet eller företagets lösenordshanterare, en enhetsbunden Authenticator som en YubiKey eller en mobil enhet via en QR-kodsprocess. För hög tillgänglighet registreras passkeys på fler än en kontrollerad enhet. Sophos Fusion tillåter högst tio passkeys.

Logga in med passkey eller Authenticator-app

Vid inloggning med passkey öppnas först fusion.sophos.com, e-postadressen anges och Continue väljs. På passkey-sidan startar Login with passkey den tidigare registrerade metoden, exempelvis fingeravtryck, enhetens PIN-kod eller en hårdvarunyckel. Efter en lyckad kontroll öppnas Sophos Fusion-dashboarden.

Om både passkey och Authenticator-app är registrerade prioriterar Sophos Fusion passkey. Via Try another way kan en annan metod väljas efter att lösenordet har angetts. För klassisk Authenticator-inloggning följs e-postadress och Continue av lösenord och Sign in. På MFA Validation Required anges den aktuella koden från Authenticator-appen.

Båda metoderna testas efter konfiguration, enhetsbyte och webbläsaruppdatering. En lagrad passkey räcker inte som återställning om Credential Manager, enhetsåtkomst och Sophos Fusion-session påverkas av samma fel eller kontolåsning.

My info, roll och lokalt lösenord

Under Profilikonen > My info ser en administratör sin aktuella roll, Sophos Fusions inloggningsadress samt inställningarna för lösenord och MFA. Ett klick på rollnamnet öppnar rollens fullständiga behörigheter. E-postadressen är därmed också en viktig identifierare för inloggning, rollkontroll och supportärenden.

Ett lokalt Sophos-lösenord ändras under My info > Password > Change password. Efter verifieringen visar Sophos Fusion det aktuella lösenordet redan ifyllt. Det nya lösenordet måste innehålla minst åtta tecken samt minst en liten bokstav, en stor bokstav och en siffra eller ett specialtecken. Efter Reset Password loggar Sophos Fusion automatiskt in administratören med det nya lösenordet och återgår till portalen. Det gamla lösenordet blir omedelbart ogiltigt. Vid federerad inloggning ändras lösenordet däremot hos ansvarig Identity Provider.

Kontouppgifterna innehåller dessutom personliga inställningar för e-postprenumerationer. Dessa personliga prenumerationer är inte samma sak som de tenantövergripande mottagarna av Alerts under Configure Email Alerts. Vilka administratörer, distributionslistor och ärendehanteringssystem som tar emot säkerhetsmeddelanden hanteras i den separata processen för Sophos Fusion Alerts via e-post och aviseringar.

Skydda känsliga åtgärder med transaktions-MFA

Transaction Authentication using MFA kräver ytterligare autentisering före utvalda känsliga åtgärder i Customer-tenanten (CDB). Funktionen är inte ett allmänt åtgärdsskydd i Partner- eller Enterprise-dashboarden. Bekräftelsen sker med den passkey eller Authenticator-app som redan är registrerad för Sophos-MFA. Enligt tillkännagivandet den 15 september 2026 är funktionen avstängd som standard.

Före aktivering kontrolleras rätt Customer-tenant, en Super Admin som kan göra ändringen och en fungerande registrerad MFA-metod. Behörigheter och licenser som krävs för Live Response eller den aktuella Response Action är fortfarande separata krav. Om en administratör endast får använda federerad inloggning och MFA enbart tillhandahålls av den federerade IdP:n är inställningen inte tillgänglig för den administratören. IdP-konfigurationen ändras inte enbart för detta test.

1. Öppna Global Settings > Access Control > Sign-in and Identity > Multi-factor Authentication som Super Admin i Customer-tenanten och dokumentera befintligt läge. Om alternativet saknas kontrolleras först tenant, roll och inloggningsmetod; tillkännagivandet ensamt bevisar inte att funktionen är tillgänglig i den egna tenanten.
2. Informera berörda administratörer före aktivering och tillåt popup-fönster för Sophos-inloggningen. Om webbläsaren blockerar dem, överväg ett riktat undantag för sophos.com i stället för att stänga av popup-skyddet generellt.
3. Aktivera Require re-authentication before executing high risk operations under Transaction Authentication using MFA. Aktivera inte av misstag det separata alternativet Expand MFA Coverage: det utökar MFA till fler portalinloggningar och kan inte stängas av igen efter aktivering.
4. Öppna sidan igen och kontrollera att inställningen är aktiverad. Därefter måste berörda administratörer logga ut och logga in igen för att ändringen ska gälla i deras nya Fusion-session. En redan öppen session är inget giltigt test av effekten.

I den nya sessionen förväntas ny autentisering varje gång en Live Response-session startas. För en Response Action krävs den om den senaste nya autentiseringen inte skedde inom de föregående 15 minuterna. Detta är inget generellt 15-minutersfönster för Live Response och inget löfte om att alla tänkbara åtgärdstyper omfattas.

MFA-uppmaningen kontrolleras vid nästa uttryckligen godkända åtgärd; enhetsisolering, en annan Response Action eller en produktionssession med Live Response startas inte enbart för att testa. Om den förväntade uppmaningen saknas kontrolleras först ny inloggning, sparad inställning, Customer-kontext, IdP-undantag och popup-blockering. Om beteendet fortfarande avviker godkänns inte den känsliga åtgärden som tillräckligt skyddad; ärendet eskaleras till Sophos Support med tenant, tidpunkt och observationer, utan inloggningsuppgifter. Den lästa hjälpen beskriver aktivering men ingen tillförlitlig avstängnings- eller återställningsprocedur; en återgång garanteras därför inte utan verifiering.

Förstå enhetsbundna sessioner med DBSC

Device Bound Session Credentials (DBSC) binder en session till en kryptografisk nyckel på enheten. Webbläsaren bevisar regelbundet att den har nyckeln; en stulen sessionscookie blir därmed mindre användbar på en annan enhet. Det är ett extra skyddslager mot sessionsstöld, inte en ersättning för MFA, säkra endpoints eller aktiv utloggning.

Sophos tillkännagav DBSC för Customer-, Enterprise- och Partner-dashboarder (CDB, EDB och PDB). Med en webbläsare och plattform som stöds fungerar funktionen transparent; ingen kundinställning eller egen DBSC-implementation krävs. Sophos tillkännagivande den 15 september 2026 anger Google Chrome och Microsoft Edge från version 146 på Windows med TPM samt från version 147 på macOS. Plattformsstödet vid tillkännagivandet garanterar inte att funktionen är aktiverad för varje session.

Google beskriver däremot den grundläggande DBSC-förmågan redan för Chrome 145 på Windows. Det motsvarar inte Sophos högre gräns och bekräftar varken Edge- eller macOS-stöd för Sophos Fusion. Utan rätt webbläsar- och plattformsstöd får DBSC inte räknas som ett befintligt skydd. Inför införandet inventeras de webbläsar- och operativsystemsversioner som faktiskt används; en lyckad inloggning bevisar inte i sig en DBSC-bindning.

Begränsa inaktiva administratörssessioner

MFA skyddar inloggningen, men inte en redan öppen session på en obevakad dator. Under Connected Sessions anger Session Idle Timeout efter hur många timmars inaktivitet en administratör måste logga in igen. Sophos dokumenterar inställningen separat för Customer-, Enterprise- och Partner-portalen. Före en ändring kontrolleras därför använd portal, tillhörande konto eller tenant och inloggningsmetod. Vid åtkomst till Customer-konton via en Partner- eller Enterprise-session är det enligt sessionstillkännagivandet den sessionens timeout som gäller. Customer-värdet ensamt beskriver därför inte den sessionen. Denna prioritet är ingen automatisk kopia av Customer-inställningarna och inget generellt arv av MFA-, SSO- eller andra kontoregler.

1. Öppna ikonen Global Settings i den berörda portalen och välj Access Control > Sign-in and Identity > Connected Sessions.
2. Dokumentera det befintliga värdet under Session Idle Timeout så att det går att återställa vid behov. Tillåtna värden är 1 till 23 timmar och det dokumenterade standardvärdet är 3 timmar.
3. Ange den maximala inaktivitetstiden och välj Save. För privilegierade administratörskonton är 1 timme ett avsiktligt strikt pilotexempel från Avanet, inte en Sophos-standard. Ett kortare värde begränsar den tid då en obevakad, inaktiv session kan förbli användbar, men kräver oftare en ny inloggning i den dagliga driften. Valet förankras hos ansvariga administratörer. Tidsgränsen ersätter varken skärmlås eller aktiv utloggning.

Efter att inställningen har sparats öppnas sidan igen och det sparade värdet kontrolleras. För att testa effekten loggar en testadministratör in i samma portal i en separat webbläsarsession. Sessionen lämnas öppen utan aktivitet längre än den konfigurerade tiden. Därefter öppnas en skyddad sida. Det förväntade resultatet är en uppmaning att logga in igen. Sedan genomförs den lokala eller federerade inloggningsprocess som faktiskt används, inklusive den MFA som krävs där, med lyckat resultat. Testet genomförs separat för varje berörd portal.

Om sessionen fortfarande går att använda efter den avsedda inaktivitetstiden kontrolleras först portal, tenant, sparat värde och eventuell aktivitet under testet. Därefter upprepas testet med en nyinloggad session. Om resultatet fortfarande avviker dokumenteras portal, tidpunkt och observation utan inloggningsuppgifter för Sophos Support. Om ändringen måste återställas sparas det dokumenterade tidigare värdet igen och kontrollen upprepas.

Session Idle Timeout innebär inget löfte om att alla redan öppna sessioner omedelbart återkallas och ersätter inte åtgärder vid ett komprometterat konto. Inställningen innebär inte heller någon automatisk överföring mellan Customer-, Enterprise- och Partner-portalen. Vid en säkerhetsincident kontrolleras även kontoåtkomst, roller, IdP och Audit Logs.

Förstå passkeys korrekt

Passkeys är nätfiskeresistenta när nyckeln är bunden till den riktiga Sophos Fusion-domänen och skyddad med enhetens PIN-kod eller biometri. En synkroniserad passkey är praktisk, men övertar säkerhets- och återställningsegenskaperna hos det Apple-, Google- eller Microsoft-konto som används.

För Super Admins är en hanterad hårdvarunyckel en särskilt robust metod. Innan metoden införs som krav i hela tenanten kontrolleras att nödåtkomst, reservnycklar och offboarding fungerar.

Microsoft Authenticator stöds inte för en Sophos-passkey utanför en federerad Entra ID-inloggning. Appen kan fortfarande användas som TOTP Authenticator. Passkeys mellan enheter kräver beroende på plattform Bluetooth, att enheterna är nära varandra och en QR-kodsprocess.

Högst tio passkeys kan registreras per konto. Utfasning av gamla faktorer och låsningslogik behandlas separat i följande avsnitt eftersom de berör både TOTP- och passkey-konton.

Det för närvarande dokumenterade stödet för passkeys omfattar Windows 10 och 11, macOS 10.15.7 eller senare, Android 9 eller senare samt iOS och iPadOS 16 eller senare. Som lägsta versioner anger Sophos Chrome 118, Firefox 119, Safari 16 eller senare och Edge 119. Vanliga lagringsplatser är Windows Hello, Google Password Manager, iCloud Keychain och 1Password. Som enhetsbundna nycklar anger Sophos YubiKey 5 och YubiKey NFC. Andra kombinationer kan fungera om leverantören av webbläsaren och operativsystemet implementerar de passkey-protokoll som krävs.

Sophos uppskattar att detta stöd täcker ungefär 98 procent av de webbläsar- och operativsystemskombinationer som används samt vanliga Credential Managers. Det är en uppgift om räckvidd, inte en plattformsgaranti. Operativsystem, webbläsare, Credential Manager, synkroniseringspolicy och återställning testas med de versioner som faktiskt används.

Synkroniserade passkeys fungerar för Sophos-inloggningen, men själva synkroniseringen förblir en funktion i Credential Manager. iCloud Keychain kan exempelvis tillhandahålla passkeys mellan Mac-, iPhone- och iPad-enheter med samma iCloud-identitet. Vid ett synkroniseringsfel ansvarar därför leverantören av Credential Manager. För passkeys mellan enheter måste Bluetooth vara aktiverat på datorn och mobilen, båda enheterna finnas nära varandra och en QR-kodsläsare vara tillgänglig.

Microsoft Authenticator kan endast använda en Sophos-passkey i samband med en federerad Entra ID-inloggning. Utan denna inloggningsmetod visas vid registreringen vanligtvis Failed to add passkey eller Microsoft Authenticator doesn’t support this passkey. Microsoft Authenticator kan oberoende av detta fortfarande användas som TOTP-app.

I 1Password Business kan policyer för Team- eller Shared Vault blockera registrering av passkeys. 1Password visas då i registreringsdialogen, men är nedtonat. Ansvarig 1Password-administratör måste ge behörighet att registrera passkeys i Team Policies. Att upprepade gånger ta bort Sophos MFA-metod löser inte denna externa policy.

Föråldrade MFA-metoder och Account Lockout

SMS samt e-post plus PIN-kod är föråldrade MFA-metoder. Nya Sophos Fusion-användare måste använda en TOTP Authenticator-app eller en passkey. Om MFA återställs för en befintlig användare med SMS eller e-post plus PIN-kod behandlar Sophos Fusion även denna person som en ny användare vid den nya registreringen och kräver TOTP eller passkey.

Efter fem felaktiga inloggningsförsök i följd låser Sophos Fusion först kontot i en minut. Ytterligare misslyckade försök med samma konto förlänger låsningen stegvis upp till högst fem timmar. Efter en låsning ska automatiska försök därför inte fortsätta. Om det inte finns någon andra metod eller annan Super Admin kan Sophos Support låsa upp kontot efter identitetskontroll.

Federerad inloggning via en Identity Provider

Med en Identity Provider som stöds kan Sophos Fusion delegera inloggningen till företagets centrala identitet. Det förenklar Conditional Access, Lifecycle och central spärrning. Sophos Fusion använder en process som startas av Service Provider, SP-initiated SSO: Inloggningen börjar i Sophos Fusion och vidarebefordras därifrån till IdP:n.

Konfigurationen sker i en fast ordning. Först verifieras den egna domänen via en DNS TXT-post. DNS-propageringen kan ta upp till 24 timmar. En lyckad verifiering gäller i ett år och måste därefter förnyas. Sedan kopplas identitetsleverantören till den verifierade domänen och först därefter aktiveras önskat inloggningsalternativ. Dessa åtgärder kräver Super Admin-behörighet.

Sophos Fusion kan antingen endast tillåta federerade inloggningsuppgifter eller även e-postadress och lösenord från Sophos Fusion. Med Microsoft Entra ID visar Sophos Fusion trots inställningen Federated credentials only fortfarande båda alternativen. För andra identitetsleverantörer leder denna inställning däremot direkt till IdP:n utan ett val. Detta olika beteende ska ingå i låsningstestet.

Valet görs under Global Settings > Access Control > Sign-in and Identity > Sophos sign-in. Det gäller i princip för alla Sophos Fusion-produkter. För enskilda administratörer kan Custom Sign-in Rules definieras, exempelvis för att behålla en kontrollerad Sophos-inloggning som reserv under pilotfasen. En användare kan endast kopplas till en verifierad domän och en Identity Provider åt gången.

Med Federated credentials only kan användare inte själva återställa sitt Sophos-lösenord. Om man senare återgår till enbart Sophos-inloggning kanske dessa konton ännu inte har ett användbart lösenord och måste genomföra Reset Password. Användare i Self-Service Portal som endast har federerad inloggning får ingen separat inbjudan att skapa lösenord, utan loggar in direkt via IdP:n.

Alternativet Expand MFA Coverage utökar MFA-kontrollen till hanterade användare i andra Sophos-portaler som Self Service Portal, Partner Portal eller Support Portal. När alternativet har aktiverats kan det inte stängas av igen. Det sparas därför tenantövergripande först efter ett pilottest med de portalanvändare som faktiskt berörs.

Före aktiveringen klargörs följande punkter:

• entydig koppling mellan e-postadress och Sophos Fusion-inloggning,
• MFA och åtkomstregler hos IdP:n,
• beteendet för gäst- och partnerkonton,
• minst en testad nödåtkomst,
• uteslutning av låsning vid felaktig domän- eller IdP-konfiguration.

Federerad inloggning synkroniserar inte automatiskt Endpoint-användare eller enhetsgrupper. Det är separata funktioner.

När UPN och e-postadress skiljer sig åt

Sophos Fusion identifierar först kontot via den registrerade e-postadressen. Om Microsoft Entra ID internt använder ett annat User Principal Name behöver Entra-appen en anpassad OpenID Connect-konfiguration med det valfria email-claimet och passande Microsoft Graph-behörigheter. Användaren anger fortfarande sin tilldelade e-postadress i Sophos Fusion och autentiserar sig sedan på Microsoft-sidan med UPN.

Standardinstruktionen räcker om e-postadress och UPN är identiska. En avvikande konfiguration bör först testas med ett testkonto eftersom ett claim som saknas eller är felaktigt förhindrar kopplingen, trots att autentiseringen i Entra lyckades.

Hantera och aktivera en Identity Provider

Endast en Super Admin kan hantera en federerad Identity Provider. Minst en passande domän måste först vara verifierad. Under Global Settings > Access Control > Sign-in and Identity > Federated identity providers skapas Microsoft Entra ID, OpenID Connect eller Microsoft AD FS med Add identity provider. Delvis konfigurerade identitetsleverantörer kan sparas, men kan inte aktiveras förrän konfigurationen är fullständig och giltig.

För att aktivera väljs den färdigkonfigurerade identitetsleverantören och Turn on. Därefter kan den användas för federerad inloggning. Identitetsleverantörer kan redigeras eller tas bort på samma plats. Före Federated credentials only måste varje berörd administratör och användare vara kopplad till en verifierad domän och en aktiverad identitetsleverantör, annars uppstår en låsning. Identitetsleverantören testas därför först med enskilda konton och en bibehållen reservåtkomst.

De fullständiga anvisningarna för respektive identitetsleverantör finns under Konfigurera Microsoft Entra ID som Identity Provider, Konfigurera OpenID Connect och Okta för Sophos Fusion och Ansluta Microsoft AD FS till Sophos Fusion.

Roller är fortfarande avgörande

MFA skyddar identiteten, men begränsar inte dess behörigheter. Super Admin används endast för ändringar av tenant, roller, API och andra särskilt långtgående ändringar. Help Desk, Read-only och Custom Roles minskar den möjliga skadan från ett misstag eller ett komprometterat konto.

Den produktspecifika tilldelningen förklaras i Planera Sophos Central Endpoint-roller och behörigheter.

Förlorad MFA-enhet och låsning

Återställningsprocessen testas innan den behövs. Använd först en andra registrerad metod. Om ingen metod längre är tillgänglig kontrolleras identiteten via en känd, oberoende bekräftad kontaktväg före återställningen; enbart ett e-postmeddelande med en begäran om återställning räcker inte. Den berörda användaren informeras via den överenskomna kontaktvägen. Lösenord, passkeys, QR-koder och säkerhetskoder begärs inte från den som ringer och sparas inte i ärendet.

För ett användarkonto i Customer-tenanten är återställningsproceduren följande:

1. Använd en andra registrerad metod.
2. Be en Super Admin för tenanten använda Reset MFA på användarobjektet.
3. Ange säkerhetskoden som Sophos skickar via e-post vid nästa inloggning.
4. Registrera två nya MFA-metoder och testa att de är tillgängliga oberoende av varandra.
5. Om ingen annan Super Admin är tillgänglig, kontakta Sophos Support med verifierbara kontouppgifter.

För en Partner-identitet används däremot Partner Super Admin och Partner-proceduren som beskrivs nedan. Verifieringsmeddelandet för Customer är ingen utfästelse om hur Partner-återställningsdialogen fungerar. Efter Partner-återställningen följer användaren de inloggnings- och registreringsuppmaningar som faktiskt visas och återställer minst två oberoende metoder. Om det inte finns någon annan Super Admin för Partner-kontot kontaktas Sophos Support; ytterligare misslyckade inloggningsförsök ersätter inte denna återställning.

Efter en återställning tas gamla metoder bort, nya metoder registreras och Audit Logs kontrolleras efter ovanliga inloggningar eller ändringar.

Att ta bort Sophos-posten direkt i Authenticator-appen tar inte bort metoden från Sophos Fusion. Den förblir registrerad där, men ger inte längre några giltiga koder. Metoden måste därför även tas bort i Sophos Fusion eller återställas av en Super Admin. Om alla lokala metoder tas bort återstår endast en andra registrerad metod, en återställning av en annan Super Admin eller den verifierade vägen via Sophos Support.

Återställa MFA som Super Admin

Denna procedur gäller ett användarkonto i Customer-tenanten, inte Partner-sidan Administer MFA.

Endast en Super Admin kan återställa en annan användares MFA-registreringar. Sökvägen är My Environment > Users & Groups > Users. Där öppnas användarnamnet och Reset MFA samt därefter Reset väljs en gång till. Ett statusmeddelande längst ned på sidan bekräftar att återställningen lyckades.

Sophos Fusion skickar därefter automatiskt ett verifieringsmeddelande med en säkerhetskod till användaren. Vid nästa inloggning måste koden anges och MFA konfigureras helt på nytt. Leveransen, uppringarens identitet och den lyckade nya registreringen kontrolleras. En återställning i sig ger ännu ingen säker åtkomst. Om det egna kontot är låst och ingen annan Super Admin finns tillgänglig återstår endast verifierad återställning via Sophos Support.

Återställa MFA i Partner-kontot

Sidan Administer MFA är bara synlig för en Partner Super Admin. Det är Partner-proceduren för hanterade identiteter; Customer-sökvägen My Environment > Users & Groups > Users används inte för detta. Partner-kontots administratörer kan kontrolleras under Global Settings > Access Control > Admin & Roles > Admins.

1. Öppna ikonen Global Settings i Partner-portalen och välj under Access Control sidan Administer MFA.
2. Ange den berörda identitetens fullständiga e-postadress. Endast e-postadresser som är kopplade till ett Partner-konto kan sökas. En del av adressen räcker inte. Om inget hittas visas varken ett meddelande eller ett felmeddelande; detta bekräftar inte en återställning. Kontrollera då stavningen och kontokopplingen i stället för att återställa MFA för en annan användare.
3. Gå till kolumnen Action för den träff som entydigt motsvarar identiteten och klicka på Reset MFA. En indikering längst ned på sidan bekräftar att återställningen lyckades.
4. Låt användaren konfigurera MFA på nytt. Kontrollera därefter en lyckad inloggning och minst två registrerade metoder som är tillgängliga oberoende av varandra. En lyckad återställning i sig bekräftar ännu inte att säker åtkomst har återställts.

En förlorad passkey återskapas inte från ett ärende och ersätts inte genom att någon annans nyckel delas. Återställningen sker via en egen metod som fortfarande är tillgänglig eller en behörig återställning; gamla eller förlorade registreringar kontrolleras därefter. Om Sophos-posten bara har tagits bort lokalt i Authenticator-appen finns registreringen kvar i Partner-portalen, även om den inte längre ger användbara koder. Skillnaden mellan lokal borttagning och borttagning av portalregistreringen som beskrivs ovan gäller därför fortfarande.

Återställa MFA för en Customer-användare från Partner-portalen

För en användare i den hanterade Customer-tenanten dokumenterar Sophos en separat ingång:

1. Öppna My Business > My Customers och välj Customers.
2. Välj rätt kund på Sophos Central Customers och välj Launch customer. Customer-kontot öppnas med sin dashboard; kontrollera kundkopplingen före återställningen.
3. Öppna My Environment > Users & Groups, välj den berörda användaren och välj Reset MFA i användarens profil.
4. Kontrollera meddelandet om att återställningen lyckades längst ned till höger och slutför återställningen med användaren, inklusive avisering och ny registrering.

Denna Customer-ingång är inte e-postsökningen på Administer MFA. Den som går från Partner-dashboarden till en Customer-tenant via Partner-SSO kan inte ändra MFA-inställningarna för tenantens Super Admins. Om en Customer-Super-Admin är berörd anlitas därför en annan behörig Super Admin i samma tenant; om sådan åtkomst saknas kontaktas Sophos Support. Övergången till Customer-tenanten upphäver inte denna begränsning.

Regelbunden kontroll

Minst kvartalsvis kontrolleras administratörer, roller, API-inloggningsuppgifter, MFA-metoder och externa identiteter. Vid avslut eller rollbyte inaktiveras Sophos Fusion-åtkomsten, och den berörda identiteten tas även bort från administratörsroller och relevanta IdP-grupper.

Vanliga frågor